Cyber Risk Assessments: Risikobewertung hilft CISOs – Source: www.csoonline.com

Ab einem gewissen Alter gehen viele Menschen regelmäßig zum Arzt für einen Check-up. Das ist sinnvoll und wird sogar von der Krankenkasse bezahlt. Auf diese Weise können Risiken und Gefahren frühzeitig erkannt und entsprechende Maßnahmen getroffen werden. Genauso verhält es sich in der Cybersicherheit: Regelmäßige Risikobewertungen helfen den Security-Teams, Schwachstellen und Optimierungspotenziale zu identifizieren. Dennoch werden solche Bewertungen nicht flächendeckend durchgeführt.

Vorteile eines Cyber Risk Assessment

Dabei haben CISOs folgende Vorteile, wenn sie Cybersecurity Risk Assessments in ihre Arbeit integrieren:

• Schwachstellen erkennen: Eine Cyberrisikobewertung hilft dabei, Sicherheitslücken in der IT-Infrastruktur, den Netzwerken und Systemen eines Unternehmens zu erkennen. Dies bietet die Möglichkeit, diese Schwachstellen zu beseitigen, bevor sie von Cyberkriminellen ausgenutzt werden können.

• Maßnahmen zum Risikomanagement priorisieren: Nicht jedes System ist kritisch, ebenso sind nicht alle Daten eines Unternehmens gleich wichtig. Die Ergebnisse des Risk Assessment verdeutlichen, welche Assets und Systeme am wichtigsten und dem höchsten Risiko eines Angriffs ausgesetzt sind. Auf dieser Basis können Sicherheitsverantwortliche ihre Maßnahmen priorisieren und damit ihre Ressourcen effektiver zuweisen, um die kritischsten Risiken zuerst anzugehen.

• Compliance-Anforderungen einhalten: Nahezu jedes Unternehmen muss verschiedene Vorschriften zum Datenschutz und zur Datensicherheit einhalten, etwa die DSGVO oder den Payment Card Industry Data Security Standard (PCI DSS). Zahlreiche dieser gesetzlichen Vorgaben verlangen explizit spezielle Risikobewertungen, etwa im Rahmen der DSGVO eine Datenschutz-Folgenabschätzung. Risk Assessments helfen, die Compliance-Anforderungen für verschiedene Vorschriften zu erfüllen. Auf diese Weise kann sichergestellt werden, dass die erforderlichen Sicherheitsstandards eingehalten und mögliche Geldbußen oder rechtliche Konsequenzen bei Verstößen vermieden werden.

• Intelligente Entscheidungen treffen und Kosten senken: Durch Cyber-Risikobewertungen erhalten Unternehmen ein umfassendes Verständnis ihrer Cyberrisiken. Zum einen können sie auf dieser Grundlage fundierte Entscheidungen über Strategien zur Risikominderung treffen und damit die Wahrscheinlichkeit eines erfolgreichen und kostspieligen Cyberangriffs reduzieren. Zum anderen sind sie in der Lage, zielgerichtete und damit effektivere Investitionen in ihre Cybersicherheit zu tätigen.

Ein Blick auf das Datenrisiko

Das Ziel der meisten Cyberangriffe sind die Daten eines Unternehmens – mit enorm kostspieligen Auswirkungen: So verursachte ein Datenvorfall laut dem Cost of a Data Breach Report 2023 von IBM im Durchschnitt einen Schaden von 4,25 Millionen US-Dollar. Deshalb lohnt sich ein besonderer Blick auf die Daten und das Risiko, dem sie ausgesetzt sind.

Dies ist umso wichtiger, da Daten im Gegensatz zur Infrastruktur und anderen Systemen nicht “unkompromittierbar” sind. Server können neu eingerichtet, Cloud-Instanzen neu aufgebaut werden. Einmal entwendete Daten bleiben jedoch in den Händen von Cyberkriminellen. Hiervor schützen auch keine Backups.

Welchen Risiken Daten im Allgemeinen ausgesetzt sind, zeigt eine Analyse von fast 10 Milliarden Cloud-Objekte im Rahmen von Datenrisikobewertungen bei mehr als 700 Unternehmen aus den verschiedensten Branchen weltweit. Demnach ist einer von zehn Datensätzen in der Cloud für alle Mitarbeitende zugänglich. Dies schafft einen internen Radius, der den potenziellen Schaden bei einem Ransomware-Angriff erheblich vergrößert.

Aber auch eine fehlende Multi-Faktor-Authentifizierung (MFA) erleichtert es Angreifern, intern exponierte Daten zu kompromittieren: Durchschnittlich verfügt jedes Unternehmen über knapp 4.500 Benutzerkonten ohne aktivierte MFA.

Fazit

Diese allgemeinen Ergebnisse zeigen bereits die größten Problemfelder auf. Dennoch ist es wichtig, im Rahmen eines Datenrisiko-Assessments das individuelle Datenrisiko zu ermitteln und Schwachpunkte zu identifizieren.

In aller Regel wissen die Unternehmen nicht, welche Daten sie überhaupt besitzen, wo sie gespeichert sind und wer Zugriff auf sie hat. Nur wenn man über diese grundlegenden Informationen verfügt, kann man sein Risiko erkennen und gezielte Maßnahmen ergreifen. Der Zeitaufwand ist dabei mit rund zwei bis vier Stunden überschaubar und liefert im Rahmen eines ausführlichen Reports sofort umsetzbare Empfehlungen. Darüber hinaus treten im Assessment-Prozess oftmals auch weitere Sicherheitsprobleme zutage, von laufenden Cyberangriffen bis hin zu Kerberos-Passwörtern, die bis zu 15 Jahre alt sind.

Mit einer in regelmäßigen Abständen durchgeführten Cyberrisikobewertung, lassen sich deutlich nachvollziehbar Fortschritte im Bereich der Datensicherheit dokumentieren – auch für das Management. CISOs haben damit endlich ein Tool zur Verfügung, dass ihre Cybersecurity-Erfolge sichtbar macht.